Datensicherheit

RICHTLINIEN UND VERFAHREN

Die Sicherung aller Daten sowie der Programmlogik (Schnittstellen für die Bereitstellung der Daten an die einzelnen Anwendungen, Dienstplan Algorithmen, etc.) erfolgt auf Servern von Subauftragnehmern, deren technische und organisatorischen Maßnahmen wiederum in Auftragsverarbeiter-Vereinbarungen mit dem jeweiligen AAV festgelegt sind. Die wesentlichsten Punkte dieser vereinbarten technischen und organisatorischen Maßnahmen sind im Folgenden erläutert.

Daten-
sicherheit

RICHTLINIEN UND VERFAHREN

VERTRAULICHKEIT

Maßnahmen, um Unbefugten den Zutritt zu Dateverarbeitungsanlagen zu verwehren, umfassen:

  • Zentrale Schließsysteme
  • Grundsätzlich verschlossene Zugänge
  • Besucherregelung: Abholen von Besuchern, kein alleiniger Aufenthalt
  • Dokumentierte Verfahrensweisen für Ausgabe, Rückgabe und Verlustmeldung eines Zugangsmittels
  • Alarmanlagen mit Videoüberwachung

Maßnahmen, um zu verhindern, dass Datenverarbeitungssysteme von Unbefugten genutzt werden können:

  • Nur benutzte Netzwerkdosen sind gepatched
  • Keine WLAN Netzwerke im Einsatz
  • Firewall, Intrusion Detection System
  • Zugang zu DV-Geräten mit persönlicher
  • User-ID und Kennwort
  • Dokumentierte Vergabe von User-IDs
  • Kennwortrichtlinien: mind. 8 Zeichen, bestehend aus Sonderzeichen, Groß-/ Kleinbuchstaben sowie Zahlen (mind. 3 aus 4)
  • Bei Bedarf zeitgesteuerte Kennwort-Erneuerung
  • Login-Protokollierung
  • Home Partition der Arbeitsplatzrechner verschlüsselt
  • Remote Zugriff nur über VPN
  • Whitelist für zugelassene IP-Adressen

Die Benutzung eines Datenverarbeitungssystems unterliegt Zugriffsberechtigungen, die gewährleisten, dass Benutzer nur auf berechtigte Daten zugreifen können und dass personenbezogene Daten bei der Verarbeitung, Nutzung und nach der Speicherung nicht unbefugt gelesen, kopiert, verändert oder gelöscht werden können. Dies wird durch folgende Maßnahmen sichergestellt:

  • Benutzerrollen-/Gruppenkonzept
  • Getrennte Erteilung und Verwaltung von Benutzerrechten
  • Überprüfung/Aktualisierung von Berechtigungen
  • Zentrales Virenschutzprogramm mit automatischen Updates
  • Zeitgesteuerte Sperre von Geräten bei Inaktivität

Daten, die zu unterschiedlichen Zwecken erhoben werden, können getrennt verarbeitet werden.

  • Firmendaten (Buchhaltung, Personalverwaltung, etc.)
  •  Physikalisch getrennt
  • Trennung von Entwicklungs- und Produktionsumgebung

INTEGRITÄT

Die Eingabe, Änderung und Löschung von personenbezogenen Daten in Datenverarbei- tungssysteme ist zur Nachvollziehbarkeit protokolliert, der Zugriff und die Löschung alter Protokolle gesondert geregelt.

Durch verschlüsselte Übertragung, Identifizierung/Authentifizierung sowie Regelungen zur Datenträgervernichtung wird gewährleistet, dass personenbezogene Daten bei der elektronischen Übertragung oder während ihres Transportes oder ihrer Speicherung auf Datenträger nicht unbefugt gelesen, kopiert, verändert oder entfernt werden können. Zudem kann überprüft und festgestellt werden, an welche Stellen im Detail eine Übermittlung personenbezogener Daten durch Einrichtungen zur Datenübertragung vorgesehen ist.

VERFÜGBARKEIT, BELASTBARKEIT UND WIEDERHERSTELLBARKEIT

Alle Server, die zur Bereitstellung unserer Dienste genutzt werden, stehen in Rechenzentren im EU-Raum und erfüllen die Schutzmaßnahmen nach DIN ISO 27001

  • Zutrittskontrollsysteme
  • Videoüberwachung
  • Redundante, unterbrechungsfreie Stromversorgung
  • Überspannungsschutz
  • Schutz gegen Feuer und Wassereintritt
  • Leistungs-Monitoring
  • Intrusion Detection System (DoS/DDoS-Angriffe)

Zudem sind Daten gegen zufällige Zerstörung oder Verlust geschützt durch:

  • Redundante IT-Infrastruktur
  • RAID-Festplattenspeicher
  • Ersatz/Tausch Komponenten vor Ort
  • Datensicherungskonzept
  • Prüfung von Rücksicherungen
  • Virenscanner und Firewalls mit zentralen Updates

Überprüfung, Bewertung und Evaluierung

Um zu gewährleisten, dass personenbezogene Daten nur entsprechend den vereinbarten Weisungen des Auftraggebers verarbeitet werden können, werden mit etwaigen Sub-AV ebenfalls Auftragsverarbeiter- Vereinbarungen geschlossen. Die genutzten Provider haben zudem ein Datenschutz-Management-System implementiert, mit dessen Hilfe die Nachweispflichten der DSGVO und des DSG umgesetzt werden. Dies umfasst unter anderem:

  • Rechtsgrundlagen der Verarbeitung, Art6 DSGVO
  • Erteilung der Einwilligung, Art7 DSGVO
  • Transparente Information, Art12 DSGVO
  • Einhaltung der Informationspflichten, Art13 DSGVO
  • Datenschutz durch Technik, Art25 DSGVO
  • Auskunftsrecht der betroffenen Person, Art15 DSGVO
  • Recht auf Berichtigung, Art16 DSGVO
  • Recht auf Löschung, Art17 DSGVO
  • Umsetzung der Speicherbegrenzung, Art5 DSGVO
  • Umsetzung der Sicherheit der Verarbeitung, Art32 DSGVO
  • Auflistung aller Auftragsverarbeiter, Art30 Abs.2 DSGVO
  • Umgang mit Datenschutzverletzungen, Art33 DSGVO
  • Darstellung der Meldepflicht an Aufsichtsbehörden, Art33 DSGVO
  • Zertifizierung, Art42 DSGVO
  • Risikobewertung, Datenschutzfolgeabschätzung, Art35 DSGVO
  • Dokumentation von Audits
  • Dokumentation von
  • Awareness-Maßnahmen

Zum Umgang mit Sicherheitsvorfällen (Incidents) ist ein organisatorischer und technischer Prozess definiert und implementiert (Incident-Response-Management). Hierüber wird auch eine einheitliche Reaktion sowie ein prozessualisierter Umgang mit erkannten und vermuteten Sicherheitsvorfällen/Störungen sichergestellt. Ebenfalls erfolgt im Rahmen dessen eine einheitliche Nachbereitung und Kontrolle im Sinne eines kontinuierlichen Verbesserungsprozesses.

Benutzerzugriff

Der Zugriff auf die Anwendungen und Daten ist nur mit einem aktivierten Account möglich. Passwörter werden verschlüsselt gespeichert und können nicht in Klartext ausgelesen werden. Die Registrierung ist nicht öffentlich zugänglich, sämtliche Benutzerregistrierungen werden entweder durch die MD meinDienstplan GmbH (initiale Bereitstellung der Plattform) oder durch berechtigte User eines Kunden (Verknüpfung von Mitarbeiter-Accounts, globale Benutzerrechteverwaltung) initiiert.

ANWENDUNGEN UND APPS

Die MD meinDienstplan GmbH bietet verschiedene Dienste in Form von Webanwendungen als auch mobilen Apps (iOS/Android) an. Mit einem gültigen und aktivierten User-Account erhalten Benutzer Zugriff auf diese Anwendungen und deren Daten.

Zugriff auf die vollständigen Daten erhalten Mitarbeiter der MD meinDienstplan GmbH, die diesen zur Durchführung ihrer Arbeit (Entwicklung, Support) unbedingt benötigen. Alle Mitarbeiter unterliegen Verrraulichkeitsvereinbarungen und werden in Best-Practice-Datensichertsverfahren geschult. Die Anwendungsserver validieren Benutzerzugriffe und stellen sicher, dass nur die auf den Zugriffsrechten des Benutzers basierenden Daten übertragen werden. Die Authentifizierung einzelner Client-Anfragen erfolgt hierbei über JWT (Json-Web-Token), welche beim Login erstellt werden. Die gesamte Kommunikation zwischen den Clients (Webanwendungen, Apps) und den Anwendungsservern erfolgt SSL verschlüsselt. Der beim Login erstellte JWT (Json-Web-Token) kann bei Nutzung der Web- oder Mobile Apps erneuert werden. Ist ein Benutzer länger als 7 Tage inaktiv, verliert der Token seine Gültigkeit und der Benutzer muss sich erneut anmelden um wieder Zugriff auf die Anwendung und die für ihn genehmigten Daten zu erhalten.

Schnittstellen (APIs)

Eine Möglichkeit für Kunden über unterstützte Plattformen Daten aus den Systemen der MD meinDienstplan zu beziehen, ist der Zugriff über Schnittstellen (API). Jeder API-Zugriff muss dezidiert genehmigt werden, der zugehörige API-Token über welchen die Fremd-Plattform Zugriff auf die Daten des jeweiligen Kunden erlangt, kann jederzeit vom Kunden oder bei Bedarf (Kundenwunsch, missbräuchliche Verwendung etc.) von Mitarbeitern der MD meinDienstplan GmbH invalidiert werden. Über Benutzerrollen und deren Berechtigungen ist geregelt, welche Benutzer API-Tokens erstellen können.

Benutzerverwaltung

Die Verwaltung und Authentifizierung von Benutzer-Accounts erfolgt über einen zentralisierten Authentifizierungs-Server, welcher mit einem einzigen Login Zugriff auf alle Plattformen bietet (Single Sign-On). Über diesen können User ihre Grunddaten (E-Mail, Passwort) selbst ändern sowie die 2-Faktor-Authentifizierung (2FA) aktivieren. Die 2FA erfolgt via Authentifizierungs-App (zB. Google Authenticator, Authy etc.) und kann von jedem User selbstständig aktiviert und deaktiviert werden.

Datenbank

Die Datenbanken der einzelnen Anwendungen der MD meinDienstplan GmbH sind vollständig voneinander getrennt. Der direkte Zugriff auf die Datenbank ist nur Systemadministratoren gestattet. Lesender Zugriff kann in einzelnen Fällen erlaubt sein, sofern der jeweilige Vertreter eine entsprechende Grundlage für den Zugriff vorweisen kann (zB. Fehlersuche, Support) und der gewünschte Zweck über die reine Nutzung der Anwendungen nicht erfüllt werden kann.

AnwendungsUmgebungen

Jede Anwendung verfügt über mehrere Umgebungen (Entwicklung, Staging, Beta, Live), welche auf verschiedenen Servern betrieben werden und somit nicht logisch miteinander verbunden sind. Zur produktiven Nutzung erhält der Benutzer Zugriff auf die Produktionsumgebung der für ihn autorisierten Anwendungen. Einzelne Kunden können nach Auswahl durch die MD meinDienstplan GmbH zusätzlich Zugriff auf eine oder mehrere Beta Umgebung(en) erhalten, um neue Funktionen vor dem offiziellen Release vorab zu testen und mit Feedback die Entwicklung zu unterstützen. Alle Anwendungsumgebungen werden mit den gleichen Sicherheitsstandards wie die Produktionsumgebung geführt.

Änderungen von Daten

Änderungen an kritischen Daten sowie definierte Anwendungsprozesse die den Betrieb des Kunden maßgeblich beeinträchtigen können (Monatsabschlüsse, Änderung von Mitarbeiterdaten, Korrektur von erfassten Arbeitszeiten etc.) werden protokolliert. Bei der Protokollierung ist es unerheblich ob die Änderung der Daten durch den Kunden selbst oder durch einen Mitarbeiter der MD meinDienstplan GmbH (zB. im Zuge eines Supports) erfolgt.

Security Tests

Die MD meinDienstplan GmbH beauftragt regelmäßig externe Dienstleister mit der Durchführung von Security und Penetration Tests um die Umgebungen auf Schwachstellen zu überprüfen. Identifizierte Probleme werden anschließend in detaillierten Berichten zur Verfügung gestellt und durch das Entwicklerteam behoben.

Backup und Wiederherstellung

Jede Anwendung führt mindestens 1x täglich ein vollautomatisches Backup aller Daten und Konfigurationen durch. Je nach Anwendungsszenario und der Variabilität der Daten erfolgen zusätzliche Backups in kürzeren Intervallen, so werden erfasste Stempelzeiten bei meineZeiterfassung auf Grund ihrer hohen Variabilität stündlich gesichert. Die Backups werden lokal auf dem jeweiligen Anwendungsserver gespeichert und anschließend zusätzlich auf einen separaten Server übertragen, welcher mit den Anwendungsservern nicht logisch verbunden ist. Backups aller Anwendungen werden mindestens 30 Tage lang gespeichert. Im unwahrscheinlichen Fall einer vollständigen Fehlfunktion kann die gesamte Anwendungsumgebung der MD Services in einen Wartungsmodus versetzt werden, welcher temporär den Zugriff auf alle Dienste der MD meinDienstplan GmbH unterbindet, um die Wiederherstellung des zuletzt gesicherten Datenstandes durchführen zu können. Die Dauer für solch eine Gesamtwiederherstellung aller Anwendungen wird derzeit auf maximal 24 Stunden geschätzt, die Wahrscheinlichkeit eines solchen Ereignisses (gleichzeitiger Ausfall mit Datenverlust in allen Anwendungen) ist jedoch extrem gering.

Verfügbarkeit

Die MD meinDienstplan GmbH gewährleistet eine Erreichbarkeit seiner Dienste und Systeme von 99,6% im Jahresmittel. Hiervon ausgenommen sind geplante Wartungsfenster sowie Probleme außerhalb des Einflussbereiches von meinDienstplan (zB. höhere Gewalt, Naturkatastrophen, Ausfall des Internetproviders etc.). Notwendige Wartungsarbeiten und Updates, welche die Serviceverfügbarkeit stören könnten, werden in der Regel zwischen 00:00 und 06:00 Uhr durchgeführt und auf ein notwendiges Mindestmaß beschränkt. Der Kunde erhält - sofern aufgrund kurzfristiger Notwendigkeit nicht anders organisierbar - zumindest 48 Stunden, in der Regel jedoch 7 Tage zuvor eine Benachrichtigung.